Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

O assistente Bixby, da Samsung, carrega uma vulnerabilidade de alta severidade registrada como CVE-2026-21157, com pontuação CVSS 4.0 de 8.3. Segundo o informe, a validação de entrada inadequada em versões anteriores à 4.0.85.6 permite que atacantes locais com privilégios lancem atividades arbitrárias no aparelho.

Na prática, um atacante com acesso local e privilégios elevados poderia abusar do assistente para disparar ações que jamais deveria alcançar. A Samsung já publicou o boletim de segurança e liberou a correção, então quem continua em uma versão antiga está exposto por escolha, não por acaso.

A solução é direta: atualize o Bixby para a versão 4.0.85.6 ou superior o quanto antes. Falhas de privilégio local como essa são justamente o tipo de brecha silenciosa que fica perigosa quando combinada com outros exploits, então corrigir cedo é a decisão mais inteligente.

Samsung Bixby tem falha de segurança grave e seu celular precisa da correção agora

#cybersec #privacy #vulnerability #cve #android #samsung #bixby

Ver detalhe →

O PHP liberou uma segunda atualização de segurança para Windows em apenas cinco dias, corrigindo uma falha crítica na compressão Brotli (CVE-2026-111497) que pode corromper a memória e permitir que atacantes executem código malicioso. A vulnerabilidade é acessível pela descompressão automática do cURL, que muitas bibliotecas de clientes HTTP, como o Guzzle, ativam por padrão, expondo inúmeras aplicações PHP.

O Google classifica a falha como 9,2 de 10 na escala CVSS 4.0, e embora nenhuma exploração ativa tenha sido registrada até agora, especialistas em segurança pedem ação imediata. Pacotes reconstruídos para PHP 8.2 a 8.5 já estão disponíveis — os usuários devem verificar o número de compilação com '-1' e o hash SHA-256. Até a correção, desative a descompressão automática do Brotli em clientes HTTP para reduzir o risco.

Falha crítica no PHP para Windows permite execução de código: atualize agora

#infosec #vulnerability #cve #cyber-security #windows #update #php #brotli

Ver detalhe →

Uma vulnerabilidade recém-divulgada no roteador Oray Pugongying X5 Pro, firmware 7.6.1, é do tipo que não deixa dúvidas sobre a gravidade. Ao manipular o argumento info.community no manipulador SNMP, um atacante consegue injetar caracteres de nova linha na community string e, segundo o advisory, fazer o snmpd executar comandos com privilégios de root. A pontuação CVSS 3.1 é de 9.9, classificada como crítica, e a falha pode ser explorada remotamente sem qualquer autenticação.

Pior: o código de exploração já está público e o fornecedor foi contatado cedo, mas não respondeu. Na prática, cada interface SNMP exposta desses roteadores virou um convite aberto, e quem paga a conta são os defensores, enquanto um caminho crítico de injeção de comandos segue escancarado.

Se você usa esse equipamento, bloqueie agora o acesso de gerenciamento SNMP vindo da internet, restrinja-o a redes confiáveis, aplique validação rígida nas community strings e trate o patch do fabricante como atrasado, não como opcional. Colocar a administração remota atrás de um túnel criptografado, como o ProtonVPN, é uma forma barata de reduzir a superfície de ataque enquanto a correção não chega.

Falha crítica 9.9 no roteador Oray Pugongying X5 Pro permite executar comandos como root via SNMP

#cybersec #critical #vulnerability #exploit #cve #router #snmp #remote

Ver detalhe →

Uma falha crítica na biblioteca de chamadas do Signal, a RingRTC, pode permitir que a pessoa do outro lado da linha continue recebendo seu áudio — e possivelmente vídeo — mesmo depois que você toca em desligar. Registrada como CVE-2026-113380 com pontuação CVSS 9.3, a vulnerabilidade afeta versões da RingRTC anteriores à 2.72.0 no Android, iOS e Desktop.

O ataque funciona inundando a fila de eventos da chamada com eventos inúteis, fazendo com que seu desligamento fique preso atrás do acúmulo e a chamada nunca termine de verdade. O problema foi corrigido na RingRTC 2.72.0, mas cada cliente Signal precisa atualizar para ficar protegido. Ainda não há relatos de exploração em campo, mas o potencial de escuta silenciosa é um alerta sério para os defensores da privacidade.

Mantenha o aplicativo Signal atualizado em todos os dispositivos que você usa para chamadas. Para uma camada extra de privacidade, considere usar uma VPN confiável como a ProtonVPN ao comunicar informações sensíveis.

Falha no Signal permite que atacantes continuem recebendo seu áudio e vídeo depois que você desliga

#cybersecurity #privacy #vulnerability #cve #signal #ringrtc

Ver detalhe →

O GitLab lançou uma correção crítica para uma vulnerabilidade de severidade máxima (CVSS 10.0) que pode permitir que um atacante não autenticado execute código arbitrário em servidores autogerenciados. A falha, rastreada como CVE-2026-110264, afeta todas as versões do GitLab desde a 7.0, lançada em 2014, devido a um estouro de inteiro no mecanismo de expressões regulares Onigmo do Ruby.

A correção está disponível em várias versões, incluindo 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 e 19.5.1. Administradores que aplicaram a atualização de 12 de outubro ainda estão em risco, pois aquela correção cobria apenas as versões 19.2 e posteriores. O GitLab não relata evidências de exploração e o GitLab.com já executa a versão corrigida.

Instalações autogerenciadas devem atualizar imediatamente, pois não há solução alternativa. O GitLab também publicou regras de detecção para ajudar a identificar tentativas de exploração. Para acesso remoto seguro, considere um serviço de VPN confiável como o ProtonVPN.

Falha crítica no GitLab (CVSS 10.0) permite execução remota de código sem autenticação em 12 anos de lançamentos

#security #cybersecurity #rce #vulnerability #patch #cve #gitlab

Ver detalhe →

O Vanus 0.8.0 até 0.9.0 está sendo distribuído com um token de administrador embutido no código, e esse único deslize entrega controle total de cluster-admin para atacantes remotos não autenticados. A falha, registrada como CVE-2026-111998, recebe nota 9.8 crítica no CVSS 3.1 e não exige mais do que enviar um Bearer token fixo para a porta do gateway gRPC.

Depois de entrar, o atacante pode gerenciar namespaces, eventbuses, usuários, tokens e role bindings, além de ler e publicar eventos em toda a implantação. Sem quebra de senha, sem cadeia de exploração, sem interação do usuário, apenas uma credencial padrão fazendo exatamente o que credenciais padrão sempre fazem.

A correção é direta e urgente: remover ou trocar as credenciais padrão, atualizar o Vanus para uma versão corrigida, restringir o acesso à porta do proxy do gateway e monitorar tentativas de acesso não autorizado. Se o Vanus roda na sua stack de produção, esse é um problema de hoje, não de amanhã.

Vanus traz token de administrador embutido e entrega takeover de cluster crítico 9.8

#cybersec #critical #vulnerability #cve #vanus #default-credentials #cluster-admin

Ver detalhe →

Pesquisadores de segurança estão alertando para uma vulnerabilidade crítica no Mage OSS que pode permitir a criação de sessões com um provedor OAuth desconhecido, na prática contornando a autenticação. Registrada como CVE-2026-111823, a falha tem pontuação CVSS 9.8 e exploração remota, o que exige prioridade máxima de quem usa versões afetadas.

A correção está disponível no commit 76c4f46 do Mage OSS e versões posteriores. Administradores devem atualizar imediatamente, garantir a configuração correta dos provedores OAuth conhecidos e monitorar os logs de criação de sessão em busca de atividade suspeita.

Falha crítica no Mage OSS permite burlar OAuth e sequestrar sessões

#cybersecurity #vulnerability #cve #oauth #security-patch #mage-oss

Ver detalhe →

Uma falha crítica recém-divulgada no kernel do Linux, apelidada de PwnEscape e rastreada como CVE-2026-99999, permite que código executado dentro de uma máquina virtual leia a memória do host que a executa. O pesquisador de segurança Paulos Yibelo demonstrou o vazamento contra sandboxes reais da nuvem da Vercel, onde cada pacote especialmente criado podia trazer cerca de 32 bytes da memória do host de volta ao convidado.

O bug está no código de rede do kernel, justamente a camada compartilhada que quase toda grande nuvem usa para separar as cargas dos clientes, então o impacto vai muito além de um único provedor. Os mantenedores atribuíram nota 9.3 de 10, ou crítica, mas não há indício de uso em ataques reais, e a exploração exige que o atacante já execute código dentro de um convidado.

Uma correção pontual de Michael S. Tsirkin, da Red Hat, já foi mesclada e aplicada às branches estáveis, protegendo hosts com versões corrigidas do kernel. Se você opera infraestrutura, atualize o kernel do host e reinicie nele, em vez de atualizar apenas os convidados, e mantenha suas próprias conexões privadas com uma VPN confiável enquanto a poeira baixa.

Falha crítica PwnEscape permite que VMs convidadas leiam a memória do host em grandes nuvens

#cybersec #vulnerability #cve #cloud-security #linux #kernel #vercel

Ver detalhe →

Uma falha de execução remota de código de alta severidade no PAN-OS, rastreada como CVE-2026-0322, está sendo explorada ativamente contra firewalls da Palo Alto Networks, e a empresa confirmou ataques limitados em ambientes reais. A vulnerabilidade fica na interface de gerenciamento e permite que um atacante com credenciais válidas e acesso à rede execute código como root, transformando um firewall confiável em uma possível porta aberta. Com nota 8.6, não é risco teórico, é ameaça real atingindo appliances PA-Series, VM-Series, Panorama e M-Series.

A CISA adicionou a falha ao catálogo de vulnerabilidades exploradas conhecidas e exige que agências federais civis mitiguem o problema até 17 de outubro, enquanto a Palo Alto libera correções para as versões PAN-OS 10.2, 11.1, 11.2, 12.1 e 12.2. Três endereços IP de atacantes já foram ligados à exploração, e não existe solução completa, apenas a recomendação de restringir a interface de gerenciamento a endereços internos confiáveis.

A lição é direta e dura: planos de gerenciamento expostos continuam sendo a porta de entrada preferida para invasões sérias. Aplique o patch rápido, restrinja o acesso e trate seu perímetro como um alvo que já está sendo sondado. Se você lida com dados sensíveis, proteger a própria conexão também importa, e uma VPN confiável como a ProtonVPN é uma base inteligente para manter sua atividade fora de alcance.

Palo Alto Networks corre para corrigir zero-day crítico no PAN-OS já explorado em ataques

#cybersecurity #privacy #rce #firewall #cisa #cve #zero-day #palo-alto

Ver detalhe →

Uma vulnerabilidade crítica de execução remota de código foi divulgada no ONLYOFFICE Document Server em versões anteriores à 10.0.0. A falha permite que um atacante autenticado com um JWT válido compatível com Inbox execute comandos arbitrários do sistema operacional como a conta de serviço ds.

De acordo com o comunicado, a API Document Builder processa incorretamente o XML de conversor controlado pelo usuário enviado pelo terceiro argumento opcional de builder.SaveFile(). Ao injetar um elemento m_sFileTo duplicado, o atacante pode sobrescrever o caminho de saída gerado pelo servidor, modificar o runtime.json e alterar o executável do Document Builder para rodar comandos maliciosos.

Se você usa o ONLYOFFICE Document Server, atualize para a versão 10.0.0 ou superior imediatamente. Restrinja o uso de JWT a fontes confiáveis, sanitize entradas XML e monitore sinais de exploração. É um problema de alta severidade com exploração remota, então trate a correção como urgente.

Falha crítica no ONLYOFFICE Document Server permite execução total de comandos no sistema

#cybersecurity #vulnerability #patch #cve #remote-code-execution #onlyoffice

Ver detalhe →

Uma nova vulnerabilidade de alta severidade, rastreada como CVE-2026-108473, foi divulgada em vários dispositivos de casa inteligente TP-Link Kasa, com pontuação 8.7 no CVSS 4.0. A falha está no protocolo local de gerenciamento do dispositivo, onde um atacante não autenticado na mesma rede consegue enviar instruções de gerenciamento sem a devida autorização e alterar silenciosamente o estado ou as configurações do aparelho.

O aviso indica que a exploração remota não é possível, então o ataque exige uma posição na rede adjacente, mas o impacto continua sério para quem usa esses dispositivos em casa ou em pequenos escritórios. Em certas condições que envolvem a interação entre o usuário, o aplicativo móvel e o serviço de nuvem do dispositivo, a proteção insuficiente das comunicações ligadas à conta também pode expor informações e comprometer a conta na nuvem.

A correção é direta, mas urgente. Atualize o firmware para a versão mais recente, reforce o protocolo local de gerenciamento, restrinja o acesso às configurações do dispositivo e monitore tentativas de acesso não autorizado. Se a sua casa inteligente vive em uma rede compartilhada ou não confiável, adicione criptografia forte e uma VPN confiável como a ProtonVPN para blindar seu tráfego e sua privacidade.

Falha grave de autenticação expõe dispositivos inteligentes TP-Link Kasa

#cybersecurity #privacy #vulnerability #cve #iot #smart-home #tp-link #kasa

Ver detalhe →

Uma nova vulnerabilidade crítica no roteador Wavlink WL-WN530BE1-A está chamando atenção: a CVE-2026-109109 recebe nota máxima 10.0 no CVSS 3.1, e um exploit público já circula por aí.

A falha é um estouro de buffer baseado em pilha no componente ExportAllSettings.cgi, acionado por entradas manipuladas de HTTP_COOKIE ou X-Cmd. Como pode ser explorada remotamente e sem autenticação, cada aparelho sem correção vira uma porta aberta.

Se você tem esse modelo, atualize o firmware agora, desative o gerenciamento remoto se não precisar e monitore sua rede. Em tempos de roteadores sempre conectados, corrigir falhas deixou de ser opcional.

Roteador Wavlink tem falha crítica 10.0 com exploit público

#security #cybersecurity #vulnerability #exploit #cve #router #firmware #wavlink

Ver detalhe →